Карта путей атаки
Внутренняя карта путей атаки с доказательствами каждого значимого шага.
Услуга · Внутренняя сеть
Не «войдут ли», а «что будет дальше»
Моделирование внутренних путей атаки, повышение привилегий и латеральное перемещение в согласованных границах — по логике допущенной компрометации.
Тестирование ведётся только в заранее согласованных средах и временных окнах и только после письменной авторизации. Сайт статичен и не принимает учётные данные.
ХОД_РАБОТЫ
Жизненный цикл проверки
Допущенная компрометация: моделируем следующий шаг атакующего.
- 01 Авторизация
- 02 Границы сети
- 03 Контролируемое тестирование
- 04 Обзор путей атаки
- 05 План укрепления
Когда нужна
Когда важно понять, что может произойти после первичного доступа во внутреннюю среду.
Объём
Что доступно изнутри, повышение привилегий, латеральное перемещение, достижимость критичных систем.
Стандарты
MITRE ATT&CKCIS ControlsNIST 800-115
Режимы
Чёрный, серый и белый ящик — разный объём стартовых знаний о сети.
01 — Логика допущенной компрометации
Граница между «внутри» и «снаружи» преодолевается регулярно
Сработавший фишинг, скомпрометированный ноутбук подрядчика, повторно использованный пароль, устройство из недоверенной сети. Зрелая организация спрашивает не «смогут ли атакующие попасть внутрь», а «насколько далеко они продвинутся, оказавшись внутри, и заметим ли мы это вовремя».
Мы принимаем как данность, что первичный доступ уже получен, и моделируем, что рациональный атакующий сделает следующим шагом — в согласованных границах.
Где наносится ущерб
Подавляющая часть ущерба наносится не в момент проникновения, а на этапе продвижения внутри — когда рядовая рабочая станция превращается в контроль над доменом, файловыми хранилищами и резервными копиями.
02 — Что именно оценивается
Пути от типовой точки входа к критичным системам
Для описания шагов атакующего используем MITRE ATT&CK (Discovery, Privilege Escalation, Lateral Movement, Credential Access), а приоритизацию защитных мер сверяем с CIS Controls. Раскройте область для деталей.
Что видит устройство рядового сотрудника: доступные сервисы, общие ресурсы, системы управления, интерфейсы, которые не должны быть доступны с рабочего сегмента.
Discovery
03 — Как проходит работа
Контролируемая процедура по этапам
01 · Авторизация
Доступ к внутренней инфраструктуре без разрешения — это состав преступления (УК РА ст. 359, 363), а не «технический нюанс». Работы начинаются только после письменной авторизации и согласованных правил взаимодействия.
Стартовые знания о сети
В чёрном ящике мы стартуем без знаний о внутренней сети — так проверяется, что реально достижимо с типовой точки входа.
Режимы — это разный объём стартовых знаний о сети, а не разные продукты. Логика допущенной компрометации одна.
04 — Типичные классы находок
Цепочка «стартовая точка → бизнес-последствие»
По каждому классу отчёт показывает не изолированный дефект, а путь: от рядовой рабочей станции к простою, утечке, потере управляемости.
F1 Плоская сеть без работающей сегментации. Одно устройство открывает доступ ко всему — прямой сценарий тотального шифрования вымогателем. ВЫС
F2 Избыточные и «вечные» привилегии. Права, которые давно не нужны, превращают мелкий инцидент в полный контроль над инфраструктурой. ВЫС
F3 Слабое управление учётными данными. Пароли в скриптах и общих папках, переиспользование администраторских паролей — топливо для латерального перемещения. ВЫС
F4 Системы управления из рабочего сегмента. Панели, гипервизоры, мониторинг без сетевых ограничений сокращают путь атакующего до нескольких шагов. СРЕД
F5 Незащищённые резервные копии. Копии, доступные из основного домена, шифруются вместе с продуктивными системами — восстановиться без выкупа невозможно. ВЫС
F6 Слепые зоны обнаружения. Действия внутри сети не журналируются или журналы никто не смотрит: атакующий работает неделями, оставаясь невидимым. СРЕД
05 — Что вы получаете
Карта путей атаки и план укрепления
Приоритизированный план укрепления, привязанный к реальной инфраструктуре и ресурсам команды.
Критичные разрывы контроля
Что даёт короткий путь к домену, данным и резервным копиям.
Сегментация и укрепление
Рекомендации по разделению сети и управлению доступом.
06 — Устранение и повторная проверка
Разорвать цепочку до критичных систем
Немедленно
Разрывы сегментации и избыточные привилегии, дающие короткий путь к домену и резервным копиям.
Плановые изменения
Наведение порядка в сетевом разделении и учётных записях в рамках плановых работ.
Системная работа
Управление доступом и обнаружением. Повторная проверка подтверждает, что цепочка действительно разорвана.
07 — Регуляторный контекст и источники
Для кредитных и микрофинансовых организаций внутренние риски связаны с защитой персональных данных и ожиданиями внутреннего контроля. Для организаций, чувствительных к непрерывности, оценка снижает главный риск программ-вымогателей — бесконтрольное распространение внутри периметра.
Граница честности
Результаты помогают подготовиться к вопросам регуляторов, аудиторов и партнёров, но не являются юридическим заключением о соответствии.
Среды и окна
Тестирование выполняется только в заранее согласованных средах и временных окнах и относится к моменту его проведения.
08 — Куда дальше
Узнать, насколько далеко пройдёт атакующий внутри
Обсудим стартовую точку и границы. Тестирование ведётся только в согласованных средах, окнах и после письменной авторизации.